4.9. Kerberos 登录模块

短名称 ：Kerberos

全名 ： org.jboss.security.negotiation.KerberosLoginModule

Kerberos 登录模块使用 GSSAPI 执行 Kerberos 登录身份验证。此登录模块打包了用于 IBM JDK 提供的 JDK 提供的模块 com.sun.security.auth.module.Krb5LoginModule，用于 Oracle JDK 和 com.ibm.security.auth.module.Krb5LoginModule，并为凭证委派提供额外的逻辑，并在填充的子项中添加 GSSCredential。

此模块需要与处理身份验证和角色映射的另一个模块配对。

重要

下表列出了可用于 org.jboss.security.negotiation.KerberosLoginModule 的选项，但也可以配置 JDK 提供的模块中的选项。有关每个 JDK 模块选项的更多详细信息，请参阅 Oracle 和 IBM Javadocs。

表 4.5. Kerberos 登录模块选项

选项类型默认值描述

delegationCredential

IGNORE、REQUIRE 或 USE

IGNORE

定义此登录模块如何处理委派。IGNORE 指定不使用委派凭据并执行普通 Kerberos 身份验证。USE 如果可用于填充主题，则指定使用 GSSCredential，否则退回到标准 Kerberos 身份验证（如果不可用）。REQUIRE 指定使用 GSSCredential 并失败身份验证（如果不可用）。

addGSSCredential

布尔值

false

启用将 GSSCredential 添加到填充对象的专用凭据中。

wrapGSSCredential

布尔值

false

指定是否应该包装到对象中添加任何 GSSCredential 以防止处理。如果没有将 GSSCredential 添加到对象中，则不会起作用。

credentialLifetime

整数

GSSCredential.DEFAULT_LIFETIME

GSSCredential 的生命周期（以秒为单位），负值将设置为 GSSCredential.INDEFINITE_LIFETIME。